0x00：前言

上篇，我们简单的谈了一下 Windows 系统的信息收集，接下来我们来了解Linux，需要收集到什么信息。

0x01：查询用户和权限信息

（1）查看当前用户及权限：

whoami    #查看当前用户
who       #查看登陆的用户

（2）查看当前主机名：

hostname   # 查看当前主机名

（3）查看本机的用户：

Linux 系统中用户信息存放在 /etc/passwd 文件中。它保存用户的有用信息，如用户名、密码、用户 ID、群组 ID、用户 ID 信息、用户的家目录和 Shell 。

/etc/passwd 文件将每个用户的详细信息写为一行，其中包含七个字段，每个字段之间用冒号 : 分隔：

cat  /etc/passwd

（4）显示用户id和组id信息：

id root 

（5）查看用户的密码信息：

/etc/shadow 文件，用于存储 Linux 系统中用户的密码信息，又称为“影子文件”

同 /etc/passwd 文件一样，文件中每行代表一个用户，同样使用 ":" 作为分隔符，不同之处在于，每行用户信息被划分为 9 个字段。

每个字段的含义如下：用户名：加密密码：最后一次修改时间：最小修改时间间隔：密码有效期：密码需要变更前的警告天数：密码过期后的宽限时间：账号失效时间：保留字段

cat  /etc/shadow

（6）查看用户的登陆时间：

lslogins -u

以下是上述输出的详细信息：

• UID： 用户 id

• USER： 用户名

• PWD-LOCK： 密码已设置，但是已锁定

• PWD-DENY： 登录密码是否禁用

• LAST-LOGIN： 上次登录日期

• GECOS： 有关用户的其它信息

（7）查看所有用户最近一次登录历史  ：

lastlog   # 显示系统中用户最近一次登陆信息
lastlog -u  用户名  # 显示指定用户最后一次登陆的信息

0x02：获取主机的网络配置信息

（1）查看IP信息：：

ifconfig  # 查看IP信息，可以用来判断是否有域，或者是否存在双网卡

（2）查看内网有价值的arp通信记录：

arp -a# 查看内网有价值的arp通信记录

（3） 查看路由表：

route # 查看路由表

（4）查看本地的dns

cat   /etc/resolv.conf

（5）查看本地端口开放信息：

netstat  -an

（6）列出iptables的配置规则：

iptables -L

（7）查看端口服务映射：

cat   /etc/services

0x03：获取主机的内核、操作系统和设备信息：

（1）查看操作系统的相关信息：

uname  -a    #全部显示
uname  -r    # 获取内核版本信息
uname  -n    # 系统主机名字
uname  -m    #  Linux系统架构

（2）查看系统内核信息：

cat  /proc/version

（3）查看系统安装时默认的发行版本信息：

cat   /etc/*-release

0x04：获取主机的软件信息：

（1）查看安装的软件：

dpkg  -l  （Debian）
rpm   -qa  （redhat）

（2）查看sudo的版本信息：

sudo  -V

（3）查看apache的版本信息：

httpd  -v
apache2  -v

（4）查看mysql的版本信息：

mysql  --version

（5）查看Postgres数据的版本信息：

psql  -V

（6）查看 Prel的版本信息：

perl -v

0x05：获取主机的环境信息：

（1）打印系统环境信息：

env

（2）环境变量中的路径信息：

echo  $PATH

（3）打印历史命令：

history /  ~/.bash_history

（4）显示可用的shell ：

cat /etc/shells

0x06：获取主机的定时计划和进程信息：

（1）查看进程信息：

ps aux

（2）资源占有情况：

top -c

（3）显示指定用户的计划作业：

crontab -l # 查看定时计划任务

/var/spool/cron/*
/var/spool/anacron/*
/etc/crontab
/etc/anacrontab
/etc/cron.*
/etc/anacrontab

# 计划任务
/etc/rc.d/init.d/

0x07：获取主机的日志：

因为目录/var/log 是保存主机日志的地方，我们可以选择合适的日志，查看对应的记录。

/var/log/boot.log
/var/log/cron
/var/log/faillog
/var/log/lastlog
/var/log/messages
/var/log/secure
/var/log/syslog
/var/log/syslog
/var/log/wtmp
/var/log/wtmp
/var/run/utmp

原文始发于微信公众号（巢安实验室）：Linux信息收集